# Инструмент DAST - OWASP ZAP

<figure><img src="https://1757043198-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1pEfXWJvrMFleLVjbyzc%2Fuploads%2F65Pof29QveK0h9rKqQZW%2Fimage.png?alt=media&#x26;token=67e39816-4fb0-43ce-b671-d757a8795f1a" alt=""><figcaption></figcaption></figure>

OWASP Zap - это средство тестирования безопасности, аналогичное Burp Suite. Используется для тестирования веб-приложений.

#### Какие преимущества у OWASP ZAP?&#x20;

Он полностью открыт и бесплатен. Нет необходимости платить за премиум-версию, все функции доступны, нет необходимости писать собственный код.

Также есть несколько преимуществ при использовании OWASP ZAP перед Burp Suite:

* Автоматическое сканирование веб-приложений: это автоматическое пассивное и активное сканирование веб-приложения, построение карты сайта и обнаружение уязвимостей. Это платная функция в Burp.&#x20;
* Web Spidering: вы можете пассивно создавать карту сайта с помощью Spidering. Это платная функция в Burp.&#x20;
* Unthrottled Intruder: вы можете брутфорсить страницы входа в OWASP так быстро, как ваш компьютер и веб-сервер могут обрабатывать. Это платная функция в Burp.&#x20;
* Не нужно пересылать отдельные запросы через Burp: при выполнении ручных атак, когда нужно изменять окна для отправки запроса через браузер и затем пересылать в Burp, это может быть утомительным. ZAP обрабатывает оба этапа, и вы можете просто просматривать сайт, а ZAP автоматически перехватит запросы. Этой функции нет в Burp.

Если вы уже знакомы с Burp, то эта картинка поможет вам понять что к чему.

<figure><img src="https://1757043198-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F1pEfXWJvrMFleLVjbyzc%2Fuploads%2FmAtnckS8QuR1ncE6rmJw%2Fimage.png?alt=media&#x26;token=651d8037-29fd-4406-97d3-ac94db5c96a1" alt=""><figcaption></figcaption></figure>

#### В  этой работе мы сделаем следующее:

* Автоматическое сканирование&#x20;
* Брутфорс директорий
* Аутентифицированное сканирование&#x20;
* Брутфорс страницы входа&#x20;
* Установка расширений ZAP&#x20;

Тестирование мы будем проводить на машине Damn Vulnerable Web Application (DVWA)
